Postman a modifié les assistants de code Claude Code et Codex à l'insu des développeurs

Le 25 octobre, un développeur qui signe « indicava » ouvre un ticket sur le dépôt GitHub de Postman. Cette application, très répandue chez les développeurs, sert à tester et documenter des interfaces de programmation (API). Le titre du ticket commence par « [SEVERE] ». En fouillant le journal de l'application, il a trouvé des lignes datées de la veille. Lors d'une mise à jour automatique, Postman a installé des greffons dans Codex, l'assistant de programmation d'OpenAI, et dans Claude Code, celui d'Anthropic. Il ne l'avait jamais demandé.

Le 5 novembre, Postman a répondu sur ce ticket. Un membre de l'équipe écrit que l'éditeur va repenser le dispositif « avec le bon niveau de contrôle » et, « en attendant », annuler ce changement. Le ticket a ensuite été fermé et verrouillé.

Une consigne glissée au démarrage de chaque session

Selon le ticket, la version 12.33.4 de Postman pour macOS a modifié plusieurs fichiers de configuration dans le dossier personnel de l'utilisateur.

• Pour Codex, le fichier ~/.codex/config.toml a reçu une place de marché de greffons Postman, un greffon activé et des empreintes qui marquent un script de démarrage comme approuvé. Le greffon configure aussi une connexion à un serveur MCP de Postman (le protocole qui relie les assistants à des outils extérieurs).
• Pour Claude Code, le greffon postman@claude-plugins-official est apparu activé dans ~/.claude/settings.json.
• Un outil en ligne de commande Postman a été déposé dans ~/.local/bin.

Ce script de démarrage, appelé hook, s'exécute à chaque ouverture de session de l'assistant. Selon Notebookcheck, il lui demande de charger la compétence Postman avant de répondre à « toute tâche non triviale » d'ingénierie d'API. L'auteur du ticket juge cette consigne bien plus large que nécessaire.

Le point le plus discutable tient à l'approbation. Codex prévoit en principe que l'utilisateur valide un hook avant de lui faire confiance. D'après le ticket, l'installateur de Postman s'en charge lui-même, et la documentation de l'éditeur, citée par Notebookcheck, le dit noir sur blanc. L'auteur du ticket reste prudent : l'enregistrement d'approbation, à lui seul, ne prouve pas qui l'a créé.

Pas de collecte de données constatée

Aucun élément ne montre que Postman a recueilli des données par ce biais, souligne Notebookcheck, qui cite aussi The New Stack. Le serveur MCP configuré échouait même faute d'authentification. Mais le cas n'est pas isolé. Selon Notebookcheck, un autre utilisateur a constaté le même phénomène le 3 novembre, après une mise à jour vers la version 12.35.1. Cette fois, la consigne atteignait aussi l'éditeur de code Cursor. Un autre utilisateur a trouvé Postman dans l'outil GitHub Copilot en ligne de commande. Tous les cas rapportés concernent des Mac.

Rien de malveillant ici, mais le chemin est celui que redoutent les spécialistes de la sécurité des agents d'IA : un texte ajouté au contexte d'une IA capable de lire du code et de lancer des commandes. Nous avions déjà montré qu'un fichier téléchargé à votre insu pouvait piloter ces mêmes assistants. Cette fois, c'est un éditeur légitime qui s'est donné ce droit, sans consentement explicite.

Comment vérifier et nettoyer votre poste

Annuler le changement côté Postman ne retire pas les greffons déjà installés, précise Notebookcheck. Si vous utilisez Postman sur Mac avec un assistant de code :

• dans Postman, passez par le menu Help, à la rubrique consacrée à la CLI et aux greffons, pour désinstaller le greffon des agents de code ;
• si Node.js est installé, la commande npx @postman/postman-plugin status liste les agents détectés. Remplacer status par remove désinstalle le greffon ;
• vérifiez à la main les sections contenant « postman » dans ~/.codex/config.toml, ainsi que ~/.claude/settings.json, ~/.claude/plugins/installed_plugins.json, le dossier ~/.copilot et ~/.local/bin ;
• contrôlez après coup : un utilisateur signale que l'entrée Copilot restait présente après la désinstallation.

En entreprise, ce contrôle vaut pour tous les postes de développeurs. Les fichiers de configuration des assistants d'IA méritent désormais la même attention que les clés SSH ou les extensions de navigateur.

Postman promet une nouvelle version « avec le bon niveau de contrôle », sans donner de date. Reste à voir si l'installation des greffons deviendra un choix explicite, et si d'autres éditeurs seront tentés de s'inviter à leur tour dans les assistants de leurs utilisateurs.